AWS ElasticBeanstalk访问S3出现Access Denied错误求助

核心问题原因 #

你桶策略里配置的Principal错误：你加的aws-elasticbeanstalk-service-role是ElasticBeanstalk平台自身管理资源用的服务角色，运行你Node.js应用的EC2实例，实际关联的是EB环境配置的「IAM实例配置文件」对应的EC2角色，默认角色名为aws-elasticbeanstalk-ec2-role，你没有给这个角色开放S3权限，所以会报AccessDenied。本地你用的是myuser用户，在Principal列表里所以运行正常。

其他可能的阻塞点 #

• S3桶默认开启「阻止公共访问」配置：你代码里传了ACL: 'public-read'，如果桶的阻止公共访问规则没有放开「允许上传公共ACL」，哪怕权限配置正确也会被直接拦截返回AccessDenied。
• 新S3桶默认禁用ACL：2023年之后新建的S3桶默认关闭ACL功能，此时你传入任何ACL参数都会被拒绝，无需用ACL实现公开读，直接通过桶策略配置即可。

修复步骤 #

1. 拿到EB实例对应的角色ARN：进入EB控制台→对应环境→配置→实例配置→复制「IAM实例配置文件」对应的角色ARN。
2. 更新S3桶策略，将上述ARN加入Principal列表，示例如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEBEC2UploadWithPublicACL",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::000000000000:user/myuser",
                    "替换为你刚才复制的EB EC2实例角色ARN"
                ]
            },
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::my-bucket",
                "arn:aws:s3:::my-bucket/*"
            ],               
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "public-read"
                }
            }
        }
    ]
}

3. （可选）如果你不想使用ACL，可按如下方案调整，更符合S3最佳实践：
   • 删除代码中params里的ACL: 'public-read'配置
   • 桶策略新增一条匿名读对象的规则，无需调整其他权限：

{
    "Sid": "AllowPublicReadObject",
    "Effect": "Allow",
    "Principal": "*",
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::my-bucket/*"
}

AWS权限学习建议 #

• 先吃透IAM核心基础概念：理清用户、角色、策略、Principal、资源、条件的定义和作用边界，不要上来直接啃复杂服务的授权规则。
• 多用IAM策略模拟器：可以直接模拟指定身份调用指定服务操作的权限校验结果，直接定位是哪条策略允许/拒绝了请求，排查效率远高于手动试错。
• 遇到权限报错优先查CloudTrail日志：所有AWS API调用都会记录在CloudTrail中，AccessDenied事件会明确返回请求使用的身份ARN、拒绝来源（IAM策略/桶策略/组织SCP等），不用盲目猜问题。

内容的提问来源于stack exchange，提问作者nacho